session 機制

讓 Request 變成 stateful的機制、具有狀態的一段期間

因為 http 的無狀態性，無法記憶狀態，所以需要倚靠 session 機制進行狀態管理。session 就是讓 request 變 stateful 的機制。

實做 session 機制

(不是只能透過 cookie 才能實作 session 機制)

• url : 利用 get 的方式將資訊帶到網址列上，server 透過網址列進行狀態儲存
• Cookie : server 利用 set-cookie 將資訊存在 cookie 中，這些內容會在瀏覽器發 request 給 server 時帶上來。cookie 就是為了實作 session 而誕生，藉由標準化的規範制定一個專門用來讓瀏覽器與 Server 交換資料的機制。

1. 瀏覽器發 request 給 server
2. server 叫瀏覽器 set-cookie
3. 瀏覽器把資料儲存在 cookie
4. 瀏覽器帶著 cookie 發 request 給 server
5. server 依據 cookie 的內容決定狀態

將狀態存在 Cookie 裡面，讓 Request 之間能夠變得有關聯，但因為 cookie 的內容可以被竄改，所以

解法一、Cookie-based session

• 思路：cookie 裡面的資訊讓他無法改
• 具體作法：將 cookie 內容給加密，也就是我將所有 session 狀態都存到 cookie 中。這個狀態可以存成檔案，也可以存在記憶體、資料庫。
• 缺點：cookie 大小有限制、加密方式與密鑰可能被破解

解法二、session ID

• 思路：將資訊存在 server 端，透過一個 ID 來辨識身份
• 具體作法：Server 只在 Cookie 裡面存一個 Session ID，其餘的狀態都存在 Server 那邊。(透過 Server 傳送 Set-Cookie 這個 header 來設置資訊，並且靠瀏覽器傳送 Cookie header 把之前儲存的資訊一併帶上來，這樣子就有了狀態，就開啟了一段 Session)
• 缺點：session ID 通常存在 COKIE 中，一旦被偷走，對方就可以偽造身分進行登入

結論

建立 Session 之後，所儲存的狀態就叫做 Session information，可以翻作 Session 資訊。若是選擇把這些資訊存在 Cookie 裡面，就叫做 Cookie-based session；還有另一種方法則是在 Cookie 裡面只存一個 SessionID，其他的 Session 資訊都存在 Server 端，靠著這個 ID 把兩者關聯起來。

ＱＡ
Q：The Secure Attribute：設置 Secure 屬性代表什麼 ?
A：代表這個 Cookie 只能透過 secure 的管道被傳輸，至於什麼是 secure，RFC 上寫說由瀏覽器自行定義。依據目前主流的實作，就是指只能透過 HTTPS 來傳送